Fonctionnalités et comment configurer GPO UAC dans Windows 10

Les systèmes d'exploitation Windows incluent une série d'options pratiques qui nous aident à améliorer la sécurité au sein de celui-ci et de ses applications.

L'une de ces mesures de sécurité est le bien connu UAC (User Account Control) car ils ont été développés pour empêcher l'introduction de virus ou de logiciels malveillants dans le système affectant son opérabilité et son fonctionnement et aujourd'hui Solvetic effectuera une analyse complète du fonctionnement de l'UAC dans Windows 10 et comment nous pouvons le configurer pour en tirer le meilleur parti.

Qu'est-ce que l'UACLe contrôle de compte d'utilisateur ou UAC, est une fonctionnalité de Windows 10 qui nous aide à empêcher l'installation d'un certain type de malware sur l'ordinateur, affectant son fonctionnement et, ce faisant, il contribue à ce que les organisations aient la capacité de mettre en œuvre un bureau avec. améliorations de l'administration et de la gestion.

Grâce à l'UAC, les applications et les tâches seront toujours exécutées dans un environnement sécurisé à l'aide d'un compte administrateur.

Avec UAC, il sera possible de bloquer l'installation automatique d'applications non autorisées et d'éviter les modifications involontaires de la configuration du système, car toutes les menaces qu'un malware a dans son code peuvent venir détruire, voler ou modifier le comportement du système.

En mettant en œuvre l'UAC, nous pouvons permettre aux utilisateurs de se connecter à leurs ordinateurs avec un compte d'utilisateur standard, ce qui leur permet d'effectuer plus facilement des tâches avec les droits d'accès associés à un compte standard.

Comment fonctionne l'UACLors de l'utilisation de l'UAC dans Windows 10, chaque application qui doit utiliser le jeton d'accès administrateur doit demander votre approbation ou l'installation sera impossible.

Windows 10 protège les processus système en marquant leurs niveaux d'intégrité. Les niveaux d'intégrité sont des mesures de confiance qui sont mises en œuvre pour optimiser la sécurité lors de l'installation d'un certain programme.

Une application à intégrité « élevée » est une application qui exécute des tâches qui incluent la modification de données système, telles qu'une application de partition de disque, des applications de gestion de mémoire RAM, etc., tandis qu'une application à intégrité « faible » est une application qui accomplit des tâches qui, à certains point peut affecter le système d'exploitation, comme un navigateur Web par exemple.

Les applications classées avec des niveaux d'intégrité inférieurs ne peuvent pas modifier les données dans les applications avec des niveaux d'intégrité plus élevés. Lorsqu'un utilisateur standard essaie d'exécuter une application nécessitant un jeton d'accès administrateur, l'UAC exige que l'utilisateur fournisse des informations d'identification d'administrateur valides pour lui permettre d'effectuer la tâche, c'est pourquoi lorsque nous exécutons une application, nous devons confirmer l'autorisation respective .

Processus de connexion dans l'UACLorsque l'UAC est implémenté dans Windows 10, par défaut, tous les utilisateurs et administrateurs du groupe standard auront accès aux ressources et auront la possibilité d'exécuter des applications dans le contexte de sécurité des utilisateurs standard, ce qui est limité.

Désormais, lorsqu'un utilisateur se connecte à un ordinateur, le système crée automatiquement un jeton d'accès pour cet utilisateur particulier, ce jeton d'accès comprend des informations sur le niveau d'accès accordé à l'utilisateur, y compris des identifiants de sécurité spécifiques (SID) et les privilèges Windows définis pour chaque niveau d'utilisateur et l'autorisation respective sera accordée ou non.

En revanche, lorsqu'un administrateur se connecte à Windows 10, deux jetons d'accès distincts sont créés pour cet utilisateur : un jeton d'accès utilisateur standard et un jeton d'accès administrateur.

Avec le jeton d'accès utilisateur standard, il y aura les mêmes informations spécifiques à l'utilisateur que le jeton d'accès administrateur, mais les privilèges administratifs Windows et les SID associés seront supprimés.

Le jeton d'accès utilisateur standard est utilisé pour l'exécution d'applications qui n'effectuent pas de tâches administratives (applications utilisateur standard) et donc, toutes les applications qui sont exécutées en tant qu'utilisateur standard, à moins qu'un utilisateur ne fournisse son consentement ou ses informations d'identification pour approuver une application qui peut faire l'utilisation d'un jeton d'accès administratif complet.

De cette façon, un utilisateur appartenant au groupe Administrateurs pourra se connecter, surfer sur le Web et lire des e-mails tout en utilisant un jeton d'accès utilisateur standard et lorsque l'administrateur doit effectuer une tâche qui nécessite l'accès administrateur, Windows 10 demandera automatiquement l'approbation de l'utilisateur, c'est pourquoi lorsque nous essayons d'exécuter une application, nous verrons le message d'approbation ou non à ladite application.

Expérience utilisateur UACLorsque l'UAC est implémenté, l'expérience utilisateur pour un utilisateur standard est différente de celle des administrateurs en mode d'approbation administrateur, ce qui peut affecter l'exécution de diverses applications.

Accéder au système en tant qu'utilisateur standard aidera à maximiser la sécurité d'un environnement géré car nous saurons que cet utilisateur n'aura pas le droit d'installer un logiciel non autorisé.

Avec le composant d'élévation UAC intégré à Windows 10, les utilisateurs standard pourront facilement effectuer une tâche administrative en entrant des informations d'identification valides pour un compte d'administrateur local. Le composant d'élévation UAC intégré pour les utilisateurs standard est l'indicateur d'informations d'identification qui permet de gérer les autorisations lors de l'exécution d'applications.

Avec l'UAC activé dans Windows 10, chaque fois que nous essayons d'exécuter une application, une autorisation sera demandée ou les informations d'identification d'un compte administrateur local valide seront demandées avant de démarrer un programme ou une tâche nécessitant un jeton d'accès administrateur complet.

Cet avis nous assure qu'aucun logiciel malveillant ne peut être installé silencieusement.

Avis d'élévation UACLes invites d'élévation dans l'UAC sont codées par couleur pour être spécifiques à l'application, ce qui nous permet d'identifier immédiatement le risque de sécurité d'une application.

Lorsqu'une application essaie de s'exécuter avec un jeton d'accès administrateur complet, Windows 10 analyse d'abord le fichier exécutable pour déterminer son éditeur et ainsi, s'il est valide, autorise l'accès respectif à celui-ci. Windows 10 utilise trois catégories selon l'éditeur :

• Windows 10

• Éditeur vérifié (signé)

• Éditeur non vérifié (non signé)

Le codage couleur de la demande d'élévation dans Windows 10 est le suivant :

• Arrière-plan rouge avec une icône de bouclier rouge : indique que cette application est bloquée par la stratégie de groupe ou provient d'un éditeur bloqué.

• Fond bleu avec une icône de bouclier bleu et or : Indique que l'application est une application d'administration Windows 10, par exemple un élément du Panneau de configuration.

• Fond bleu avec une icône de bouclier bleu - Fait référence au fait que cette application est signée à l'aide d'Authenticode et est approuvée sur l'ordinateur local.

• Fond jaune avec une icône de bouclier jaune : cette application n'est pas signée ou signée mais n'est pas encore approuvée par l'ordinateur local.

Icône de bouclierCertains éléments du Panneau de configuration de Windows 10, par exemple, les propriétés de date et d'heure, ont une combinaison d'opérations d'administrateur et d'utilisateur standard, les utilisateurs standard peuvent voir l'horloge et changer le fuseau horaire, mais un jeton d'accès administrateur complet pour changer heure système locale.

Pour cette raison, nous verrons le bouclier suivant sur le bouton Changer la date et l'heure dans ladite option :

Cela indique que le processus nécessite un jeton d'accès administrateur complet et affichera un indicateur d'élévation UAC lorsque vous cliquez dessus.

Architecture UACDans le diagramme suivant, nous pouvons voir comment l'UAC est structuré dans Windows 10.

Les éléments de ce schéma sont :

Niveau de l'utilisateur

• L'utilisateur effectue une opération nécessitant un privilège - L'utilisateur effectue une opération nécessitant un privilège : Dans ce cas, si l'opération modifie le système de fichiers ou le registre, la virtualisation est appelée. Toutes les autres opérations appellent ShellExecute.

• ShellExécuter : ShellExecute recherche l'erreur ERROR_ELEVATION_REQUIRED de CreateProcess. Si vous recevez l'erreur, ShellExecute appelle le service d'informations d'application pour essayer d'effectuer la tâche demandée avec le symbole en relief.

• Créer un processus : Si l'application nécessite une élévation, CreateProcess rejette l'appel avec ERROR_ELEVATION_REQUIRED.

Niveau système

• Service d'informations sur les candidatures : Le service d'informations sur l'application permet de démarrer les applications qui nécessitent un ou plusieurs privilèges élevés ou droits d'utilisateur pour s'exécuter en créant un nouveau processus pour l'application avec un jeton d'accès complet d'utilisateur administratif lorsque l'élévation est requise.

• Élévation d'une installation ActiveX - Élévation d'une installation ActiveX : Si ActiveX n'est pas installé, le système vérifie le niveau du curseur UAC. Si ActiveX est installé, le paramètre de stratégie de groupe Contrôle de compte d'utilisateur est sélectionné : Basculer vers un bureau sécurisé lors de la demande d'élévation.

• Vérifiez le niveau du curseur UAC - Vérifiez le niveau UAC : L'UAC propose quatre niveaux de notification et un curseur pour sélectionner le niveau de notification : élevé, moyen, faible ou pas de notification.

Expérience utilisateur UACParamètres de stratégie de sécurité du contrôle de compte d'utilisateur
Dans Windows 10, nous pouvons utiliser des politiques de sécurité pour configurer le fonctionnement du contrôle de compte d'utilisateur au sein de notre entreprise.

Ceux-ci peuvent être configurés localement à l'aide du composant logiciel enfichable Stratégie de sécurité locale (secpol.msc) ou configurés pour le domaine, l'unité d'organisation ou des groupes spécifiques à l'aide de la stratégie de groupe. Certaines des politiques disponibles sont :

Mode d'approbation de l'administrateur du contrôle de compte d'utilisateur pour le compte d'administrateur intégréAvec cette politique, nous contrôlons le comportement du mode d'approbation administrateur pour le compte administrateur intégré et les options sont :

• Activée: Lorsque cette stratégie est activée, le compte administrateur intégré utilise le mode d'approbation administrateur. Par défaut, toute opération nécessitant une élévation de privilèges invitera l'utilisateur à approuver l'opération.

• Désactivée: C'est l'option par défaut et avec elle, le compte administrateur intégré exécute toutes les applications avec des privilèges administratifs complets.

Contrôle de compte d'utilisateur - Permet à l'application UIAccess de demander une élévation sans utiliser le bureau sécuriséGrâce à cette politique, il sera possible de contrôler si les programmes d'accessibilité de l'interface utilisateur (UIAccess ou UIA) peuvent désactiver automatiquement le bureau sécurisé pour les messages d'élévation utilisés par un utilisateur standard. Vos options sont :

• Activée: Cette option désactive automatiquement le bureau sécurisé pour les invites d'élévation.

• Désactivée: Le bureau sécurisé ne peut être désactivé que par l'utilisateur du bureau interactif ou en désactivant le paramètre de stratégie « Contrôle de compte d'utilisateur : basculer vers un bureau sécurisé sur demande d'élévation ».

Contrôle de compte d'utilisateur - Comportement des messages d'élévation pour les administrateurs en mode d'approbation d'administrateurDans cette politique, nous contrôlerons le comportement de l'indicateur d'élévation pour les administrateurs. Les options disponibles sont :

• Augmentez sans demander : Permet aux comptes privilégiés d'effectuer une opération qui nécessite une élévation sans avoir besoin du consentement ou des informations d'identification de l'utilisateur.

• Demandez des informations d'identification sur le bureau sécurisé : Lorsqu'une opération nécessite une élévation de privilèges, l'utilisateur est invité à saisir un nom d'utilisateur et un mot de passe privilégiés sur le bureau sécurisé.

• Demande de consentement sur le bureau sécurisé : Lorsqu'une opération nécessite une élévation de privilèges, l'utilisateur est invité à sélectionner Autoriser ou Refuser l'action sur le bureau sécurisé.

• Demande d'informations d'identification : Lorsqu'une opération nécessite une élévation de privilèges, l'utilisateur est invité à saisir un nom d'utilisateur et un mot de passe administratifs.

• Demande de consentement : Lorsqu'une opération nécessite une élévation de privilèges, l'utilisateur est invité à sélectionner Autoriser ou Refuser.

• Demande de consentement pour les binaires non Windows (par défaut) : Lorsqu'une opération pour une application non Microsoft nécessite une élévation de privilèges, l'utilisateur est invité à sélectionner Autoriser ou Refuser sur le bureau sécurisé.

Contrôle de compte d'utilisateur : comportement de l'indicateur d'élévation pour les utilisateurs standardGrâce à cette politique, nous pouvons contrôler le comportement de l'indicateur d'élévation pour les utilisateurs standard. Les options sont :

• Demande d'informations d'identification (par défaut) : Lorsqu'une opération nécessite une élévation de privilèges, l'utilisateur est invité à saisir un nom d'utilisateur et un mot de passe administratifs.

• Refuser automatiquement les demandes d'ascenseur : Lorsqu'une opération nécessite une élévation de privilèges, un message d'erreur d'accès d'accès configurable s'affiche.

• Demandez des informations d'identification sur le bureau sécurisé : Lorsqu'une opération nécessite une élévation de privilèges, l'utilisateur est invité à saisir un nom d'utilisateur et un mot de passe différents sur le bureau sécurisé.

Contrôle de compte d'utilisateur - détecte les installations d'applications et demande l'élévationAvec cette politique, nous pourrons contrôler le comportement de la détection d'installation d'applications pour l'ordinateur.
Vos options sont :

• Activé (par défaut) : Lorsqu'un package d'installation d'application nécessitant une élévation de privilèges est détecté, l'utilisateur sera invité à saisir un nom d'utilisateur et un mot de passe administratifs.

• Désactivée: Les packages d'installation d'applications désactivés ne sont pas détectés et des élévations sont demandées. Les entreprises qui exécutent des bureaux d'utilisateurs standard et utilisent des technologies d'installation déléguée, telles que la stratégie de groupe ou System Center Configuration Manager, doivent désactiver ce paramètre de stratégie.

Contrôle de compte d'utilisateur : ne téléchargez que des fichiers exécutables signés et validés
À l'aide de cette stratégie, vous définissez des vérifications de signature d'infrastructure à clé publique (PKI) pour toute application interactive qui demande une élévation de privilèges.

Les administrateurs informatiques peuvent contrôler quelles applications peuvent s'exécuter en ajoutant des certificats au magasin de certificats Trusted Publishers sur les ordinateurs locaux. Vos options sont :

• Activée: Favorise la validation du chemin de certification du certificat pour un fichier exécutable donné avant qu'il ne soit autorisé à s'exécuter.

• Désactivée: N'applique pas la validation du chemin de certification du certificat avant qu'un fichier exécutable particulier ne soit autorisé à s'exécuter.

Contrôle de compte d'utilisateur : n'élevez que les applications UIAccess installées dans des emplacements sécurisésAvec cette politique, il sera possible de contrôler si les applications qui demandent à s'exécuter avec un niveau d'intégrité d'accessibilité de l'interface utilisateur (UIAccess) doivent résider dans un emplacement sécurisé sur le système de fichiers. Les emplacements sûrs sont limités aux itinéraires suivants :

 \ Program Files \, \ Windows \ system32 \, \ Program Files (x86) \. 

Vos options sont :

• Activée: Si une application réside dans un emplacement sécurisé sur le système de fichiers, elle s'exécute uniquement avec l'intégrité UIAccess.

• Désactivée: Une application s'exécute avec l'intégrité UIAccess même si elle ne se trouve pas dans un emplacement sûr sur le système de fichiers.

Contrôle de compte d'utilisateur - Activer le mode d'approbation de l'administrateurEn mettant en œuvre cette stratégie, nous serons en mesure de contrôler le comportement de tous les paramètres de stratégie de contrôle de compte d'utilisateur (UAC) pour l'ordinateur. Si vous modifiez ce paramètre de stratégie, vous devez redémarrer votre ordinateur. Les options disponibles sont :

• Activée: Permet au compte administrateur intégré et à tous les autres utilisateurs membres du groupe Administrateurs de s'exécuter en mode d'approbation administrateur.

• Désactivée: Si ce paramètre de stratégie est désactivé, Security Center vous avertira que la sécurité globale du système d'exploitation a été réduite.

Contrôle de compte d'utilisateur - basculez vers un bureau sécurisé lorsque vous demandez une élévationAvec cette politique, il sera possible de contrôler si le message de demande de levée est affiché sur le bureau de l'utilisateur interactif ou sur le bureau sécurisé. Là, nous pouvons établir ce qui suit :

• Activée: Toutes les demandes de levée vont au bureau sécurisé, quels que soient les paramètres de stratégie de comportement de notification pour les administrateurs et les utilisateurs standard.

• Désactivée: Toutes les demandes d'ascenseur vont au bureau de l'utilisateur interactif. Les paramètres de stratégie de comportement utilisateur et administrateur standard sont utilisés.

• Toutes ces options se trouvent en utilisant la combinaison de touches + R et en exécutant la commande secpol.msc

Dans la fenêtre affichée, nous irons à l'itinéraire Politiques locales / Options de sécurité.

Configuration des clés de registreLes clés de registre UAC se trouvent dans le chemin suivant de l'éditeur de registre auquel nous accédons en utilisant les clés et en exécutant regedit :

 HKEY_LOCAL_MACHINE \ SOFTWARE \ Microsoft \ Windows \ CurrentVersion \ Policies \ System

Les enregistrements disponibles sont :

FilterAdministratorTokenles options sont :

 0 (par défaut) = désactivé 1 = activé

ActiverUIADesktopToggleVos options sont :

 0 (par défaut) = désactivé 1 = activé

Consent PromptBehaviorAdminVos options sont :

 0 = Augmenter sans demander 1 = Demander les informations d'identification sur le bureau sécurisé 2 = Demander le consentement sur le bureau sécurisé 3 = Demander les informations d'identification 4 = Demander le consentement 5 (Par défaut) = Demander le consentement pour les binaires non Windows

Consent PromptBehaviorUserVos possibilités sont :

 0 = Refuser automatiquement les demandes d'élévation 1 = Demander les informations d'identification sur le bureau sécurisé 3 (Par défaut) = Demander les informations d'identification

Activer la détection de l'installateurVos options sont :

 1 = Activé (par défaut pour les éditions Home) 0 = Désactivé (par défaut pour les éditions Enterprise)

ValiderAdminCodeSignaturesVos options sont :

 0 (par défaut) = désactivé 1 = activé

Activer SecureUIAPathsVos options sont :

 0 = désactivé 1 (par défaut) = activé

ActiverLUAVos options sont :

 0 = désactivé 1 (par défaut) = activé

Comme nous l'avons compris, UAC a été développé pour nous aider à mieux contrôler les processus exécutés dans Windows 10, en pensant toujours à la sécurité et à la confidentialité de chaque utilisateur.